Viele Webseiten offline: Kritische PHP-Lücke sorgt für Abschaltungen

PHP-Lücke: Zahlreiche Webseiten wurden vorsorglich abgeschaltet -Bild: © TelefonTarifrechner.de

Warum wurden so viele Webseiten abgeschaltet?

Hinter den Abschaltungen stehen zwei Sicherheitslücken mit den Bezeichnungen CVE-2026-109618 und CVE-2026-109619. Beide wurden nach dem Common Vulnerability Scoring System in Version 4.0 mit 9,2 von 10 Punkten bewertet. Damit fallen sie in die kritische Kategorie.

Die Schwachstellen befinden sich nicht in einer einzelnen Webseite oder einem bestimmten Content-Management-System, sondern direkt in PHP. Die Programmiersprache läuft auf sehr vielen Webservern und wird von zahlreichen Webanwendungen eingesetzt. Dadurch ist der Kreis potenziell betroffener Systeme ungewöhnlich groß.

Das PHP-Projekt bestätigte nach Veröffentlichung der Sicherheitsupdates, dass die Schwachstellen eine nicht authentifizierte Ausführung von Code aus der Ferne ermöglichen können. Ein Angreifer könnte bei einer verwundbaren und tatsächlich ausnutzbaren Konfiguration somit versuchen, Befehle mit den Rechten des Webserver-Prozesses auszuführen.

Abschaltung war vielerorts eine Sicherheitsmaßnahme

Die große Zahl nicht erreichbarer Internetangebote konnte deshalb einen falschen Eindruck vermitteln. Eine abgeschaltete Webseite war nicht automatisch eine gehackte Webseite. Im Gegenteil: Bei vielen Behörden und Einrichtungen war die Nichterreichbarkeit gerade das sichtbare Ergebnis einer vorsorglichen Schutzmaßnahme.

So erklärte beispielsweise die Universität Freiburg, mehrere zentrale Systeme vom Netz getrennt zu haben, um die Angriffsfläche zu reduzieren. Auch dezentrale Administratoren wurden dort aufgefordert, PHP-Systeme bis zur Installation der Sicherheitsupdates gegebenenfalls nicht öffentlich erreichbar zu lassen.

Ähnliche Maßnahmen wurden bundesweit getroffen. Nach Berichten der Tagesschau über die vorsorglichen Abschaltungen waren unter anderem Behörden, kommunale Betriebe, Universitäten und weitere Einrichtungen betroffen.

Welche PHP-Versionen schließen die Sicherheitslücken?

Am Nachmittag des 21. Oktober veröffentlichte das PHP-Projekt die erwarteten Sicherheitsupdates. Betreiber unterstützter PHP-Versionen sollten auf einen korrigierten Versionsstand wechseln.

Die PHP-Entwickler formulieren ihre Empfehlung ungewöhnlich deutlich. In der offiziellen Sicherheitsmeldung von PHP heißt es, dass es keine vollständige Mitigation gebe und ein Update die sichere Lösung sei.

Bei älteren PHP-Versionen wird die Lage komplizierter. Systeme außerhalb der regulär unterstützten PHP-Zweige erhalten nicht zwingend direkt ein Update vom PHP-Projekt. Betreiber solcher Server müssen prüfen, ob ihr Betriebssystem- oder Hosting-Anbieter einen zurückportierten Sicherheitspatch bereitstellt. Ist das nicht der Fall, sollte ein Wechsel auf einen unterstützten PHP-Zweig geprüft werden.

Apache mit mod_php gilt als besonders kritisch

Nicht jede PHP-Installation ist technisch identisch. PHP kann unter anderem über PHP-FPM, CGI oder direkt als Apache-Modul betrieben werden. Nach Angaben des PHP-Projekts verdient insbesondere eine Konfiguration mit Apache und mod_php besondere Aufmerksamkeit.

Für diese Konstellation wurde eine Ausnutzung demonstriert, bei der eine manipulierte Anfrage problematisch werden kann, bevor der eigentliche Anwendungscode einer Webseite ausgeführt wird. Betreiber sollten deshalb nicht davon ausgehen, dass allein Schutzmechanismen innerhalb eines CMS oder einer Webanwendung ausreichen.

Was bedeuten CVE-2026-109618 und CVE-2026-109619?

Bei CVE-2026-109618 spielt die Speicherverwaltung während der Bearbeitung einer Anfrage eine zentrale Rolle. Unter bestimmten Fehlerbedingungen kann PHP intern mit unvollständig initialisierten Daten weiterarbeiten. Daraus kann eine Speicherbeschädigung entstehen.

CVE-2026-109619 betrifft ebenfalls die Speicherverwaltung. Dabei können interne Zustände auf Speicherbereiche verweisen, die bereits freigegeben wurden. Wird dieser Zustand später erneut verwendet, kann daraus ein sogenannter Use-after-free-Fehler entstehen.

Beide Probleme sind technisch komplex. Entscheidend für Betreiber ist aber weniger die interne Ursache als die mögliche Folge: Unter geeigneten Bedingungen kann daraus eine Remote Code Execution entstehen. Angreifer benötigen dafür laut PHP keine vorherige Anmeldung am betroffenen System.

Waren die abgeschalteten Webseiten bereits gehackt?

Dafür gibt es keine Grundlage für eine pauschale Aussage. Das BSI teilte nach dem Bekanntwerden der Sicherheitslücken mit, dass in Deutschland zunächst keine Schäden durch entsprechende Cyberangriffe gemeldet worden seien. Gleichzeitig wurde vor einer möglichen schnellen Ausnutzung gewarnt.

Sicherheitsunternehmen und Infrastrukturbetreiber berichteten inzwischen über erste Versuche, die Schwachstellen auszunutzen. Das bedeutet jedoch nicht, dass jede vorübergehend nicht erreichbare Behörden-, Klinik- oder Universitätsseite kompromittiert worden war.

Gerade diese Unterscheidung ist wichtig: Viele Betreiber entschieden sich bewusst für eine vorübergehende Abschaltung, bevor ein erfolgreicher Angriff stattgefunden hatte.

Viele Webseiten sind am 22. Oktober wieder erreichbar

Nach Bereitstellung der Patches begann die schrittweise Rückkehr zum Normalbetrieb. Am Donnerstagvormittag waren zahlreiche zuvor abgeschaltete Webseiten wieder erreichbar. Andere Angebote blieben noch eingeschränkt, weil Updates zunächst installiert, getestet und anschließend auf den produktiven Systemen freigegeben werden mussten.

In Rheinland-Pfalz gingen beispielsweise zahlreiche kommunale Angebote nach den Sicherheitsarbeiten wieder ans Netz. Auch im Norden Deutschlands meldeten erste Behörden am Morgen des 22. Oktober die Wiederherstellung ihrer Internetangebote.

Dass nicht jede Webseite unmittelbar nach Veröffentlichung eines Updates wieder erreichbar ist, hat einen einfachen Grund: Professionelle Betreiber müssen neben PHP selbst häufig Betriebssystempakete, Serverkonfigurationen, Abhängigkeiten und Anwendungen testen. Ein übereiltes Einschalten kann neue Probleme verursachen.

Was müssen Website-Betreiber jetzt tun?

Für Administratoren steht die Aktualisierung im Mittelpunkt. Das bloße Verlassen auf Firewalls oder andere vorgeschaltete Schutzsysteme ersetzt den Sicherheitspatch nicht. PHP selbst bezeichnet das Update als einzig sichere vollständige Lösung.

• Installierte PHP-Version und Serverkonfiguration prüfen.
• Verfügbare Sicherheitsupdates des Betriebssystems oder Hosters installieren.
• Auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 beziehungsweise gepatchte Vendor-Versionen aktualisieren.
• Webserver und PHP-Prozesse nach dem Update ordnungsgemäß neu starten.
• Extern erreichbare und besonders wichtige Systeme zuerst aktualisieren.
• Bei älteren PHP-Versionen prüfen, ob der Distributor einen Security-Backport anbietet.
• Nach der Aktualisierung kontrollieren, ob tatsächlich die gepatchte Version aktiv ist.

Wie wichtig aktuelle Software und ein konsequentes Patch-Management sind, zeigt auch unser Bericht zur Router-Sicherheit und bekannten Schwachstellen. Gerade öffentlich erreichbare Systeme sollten nach kritischen Sicherheitsmeldungen zeitnah geprüft werden.

Müssen normale Internetnutzer etwas unternehmen?

Die Schwachstellen befinden sich auf den Webservern und nicht unmittelbar auf dem Smartphone oder Computer eines Besuchers. Normale Nutzer müssen daher kein spezielles PHP-Update auf ihrem Gerät installieren.

Indirekte Folgen sind trotzdem möglich. Ein erfolgreich kompromittierter Webserver könnte manipulierte Inhalte ausliefern oder gespeicherte Informationen gefährden. Verbraucher sollten deshalb wie üblich Browser, Betriebssystem und Sicherheitssoftware aktuell halten und bei ungewöhnlichen Login-Seiten oder unerwarteten Aufforderungen zur Eingabe persönlicher Daten aufmerksam bleiben.

Wer den Schutz seiner Geräte zusätzlich prüfen möchte, findet in unserem Virenschutz-Vergleich weitere Informationen zu aktuellen Sicherheitslösungen.

FAQ zu den offline genommenen Webseiten und der PHP-Lücke

Warum waren am 21. Oktober 2026 so viele Webseiten offline?

Viele Betreiber nahmen ihre Webseiten vorsorglich vom Netz, weil zwei kritische PHP-Sicherheitslücken bekannt geworden waren. Die Abschaltung sollte verhindern, dass verwundbare Systeme bis zur Installation der Updates öffentlich erreichbar bleiben.

Welche PHP-Sicherheitslücken sind dafür verantwortlich?

Es handelt sich um CVE-2026-109618 und CVE-2026-109619. Beide werden mit CVSS 4.0 mit 9,2 von 10 Punkten bewertet und können unter bestimmten Bedingungen eine nicht authentifizierte Remote Code Execution ermöglichen.

Welche PHP-Versionen schließen die Sicherheitslücken?

PHP hat die Sicherheitsversionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Bei älteren oder über Linux-Distributionen bereitgestellten Versionen sollten Betreiber prüfen, ob ein entsprechender Sicherheitspatch des Anbieters verfügbar ist.

Wurden alle abgeschalteten Webseiten gehackt?

Nein. Eine vorübergehend nicht erreichbare Webseite ist kein Beleg für einen erfolgreichen Angriff. Viele Behörden, Hochschulen und andere Einrichtungen schalteten ihre Systeme ausdrücklich vorsorglich ab.

Müssen normale Internetnutzer wegen der PHP-Lücke etwas installieren?

Nein. PHP läuft auf den betroffenen Webservern. Nutzer sollten jedoch wie üblich Browser, Betriebssystem und Sicherheitssoftware aktuell halten und bei ungewöhnlichen Webseiten oder Anmeldeaufforderungen vorsichtig sein.

Weitere Infos zu den derzeitigen Angeboten erhalten Sie bei Viren-Schutz-Vergleich.

Damit Ihnen in Zukunft kein Spar-Angebot entgeht, können Sie sich auch bei unserem kostenlosen Newsletter anmelden. Einmal in der Woche bekommen Sie dann eine Übersicht an Aktionen und wichtigen Änderungen im Telefonmarkt. Noch schneller sind Sie aber via X (ehemals Twitter) und Facebook informiert.